OpenClaw allarme sicurezza nuove skill infette minacciano gli agenti AI

Rischi degli agenti AI autonomi per la sicurezza informatica

Gli agenti AI autonomi come OpenClaw, già noto come Moltbot e Clawdbot, stanno diventando strumenti potenti ma difficili da controllare. La combinazione tra automazione totale, accesso al sistema e integrazione con skill esterne crea una superficie d’attacco ideale per infostealer e malware mirati a dati sensibili e criptovalute.

Le ultime analisi di ricercatori indipendenti mostrano un ecosistema di estensioni non verificate, spesso mascherate da strumenti di trading, che trasformano l’agente AI in un veicolo di compromissione profonda dei dispositivi.

Come funzionano skill e repository come ClawHub e GitHub

Le skill ampliano le capacità di OpenClaw tramite moduli scaricabili da repository come ClawHub o GitHub. L’agente AI le esegue in autonomia, spesso con permessi estesi su file, rete e API. L’assenza di revisione preventiva consente a sviluppatori malevoli di caricare codice offuscato o dipendenze compromesse. In contesti di trading o automazione DevOps, queste skill ottengono accesso diretto a chiavi API, wallet e infrastrutture cloud, rendendo ogni installazione non verificata un rischio sistemico per l’intera catena digitale dell’utente.

Il modello “plugin aperti” replica errori già visti negli store di estensioni browser, ma con un perimetro d’azione molto più ampio.

Perché gli agenti AI diventano vettori ideali di infostealer

Un agente AI come OpenClaw è progettato per operare senza supervisione, leggere file locali, interagire con API di scambio cripto e automatizzare workflow complessi. Un infostealer integrato come skill eredita automaticamente questi privilegi, eliminando la necessità di ingegneria sociale tradizionale. Le operazioni di esfiltrazione possono essere camuffate come attività lecite di trading o backup. La natura “black box” dei modelli AI e la complessità del codice delle skill rendono difficile per utenti e amministratori analizzare rapidamente ciò che viene eseguito.

Il risultato è un vettore di attacco persistente, scalabile e altamente redditizio per i criminali.

Skill infette, AuthTool e campagne mirate alle criptovalute

I ricercatori di OpenSource Malware hanno identificato oltre 400 skill malevole caricate tra il 27 gennaio e il 2 febbraio 2026, molte pubblicizzate come tool di trading automatico. Le descrizioni guidano l’utente passo passo nell’installazione, imponendo l’uso di AuthTool, che si rivela il canale principale di distribuzione del malware legato all’ecosistema di OpenClaw e alle sue estensioni.

L’obiettivo privilegiato sono chiavi API di exchange, wallet locali e seed phrase.

Distribuzione di NovaStealer su macOS e infostealer Windows

Su macOS, l’uso di AuthTool in abbinata a skill infette porta al download di una variante di NovaStealer in grado di aggirare Gatekeeper. Il malware ricerca chiavi API, file di cryptowallet, seed phrase, chiavi SSH, credenziali cloud e password salvate in browser e macOS Keychain. L’infostealer per Windows, non ancora formalmente battezzato, replica la stessa logica: scansione delle directory di wallet, lettura delle configurazioni degli exchange e furto di token di sessione. La combinazione con privilegi concessi all’agente AI moltiplica l’efficacia dell’esfiltrazione e riduce la visibilità dei comportamenti anomali.

Le transazioni in uscita possono essere orchestrate direttamente tramite script di trading.

Abuso del brand “trading automatico” e dinamiche di social engineering

Le skill malevole sfruttano la popolarità del trading algoritmico di criptovalute, promettendo rendimenti elevati e strategie avanzate. I testi di presentazione imitano il linguaggio di bot legittimi, includendo istruzioni dettagliate che normalizzano l’uso di AuthTool e di permessi invasivi. Questo schema ricorda gli attacchi ClickFix, in cui l’utente viene guidato a “correggere” manualmente impostazioni di sicurezza. La reputazione di repository come ClawHub e la presenza su GitHub contribuiscono a creare una falsa sensazione di affidabilità.

Il risultato è un inganno strutturato, che sfrutta la complessità tecnica e l’ansia di ottimizzare i profitti in ambito cripto.

ClawHub, Clawdex e responsabilità nella governance degli agenti AI

Lo sviluppatore principale di OpenClaw, Peter Steinberger, ha ammesso l’impossibilità di verificare sistematicamente le skill pubblicate da terzi. Questo lascia agli utenti l’onere del controllo del codice, in un contesto tuttavia troppo tecnico per la maggioranza. Nel frattempo, società come Koi Security e strumenti di scansione come Clawdex cercano di colmare il vuoto di governance dell’ecosistema ClawHub.

La questione centrale è come conciliare apertura e sicurezza in un mercato di agenti AI sempre più autonomi.

Risultati delle analisi di Koi Security su skill e backdoor

Gli esperti di Koi Security hanno individuato 341 skill infette su ClawHub, tra cui moduli basati su infostealer Mac come AMOS, keylogger e backdoor. Queste estensioni sfruttano l’agente AI per ottenere accesso continuo ai computer, registrare input, aprire canali remoti e mappare risorse sensibili. La distribuzione avviene spesso tramite fork di progetti popolari, rendendo difficile distinguere fra versioni pulite e compromesse. L’assenza di firme digitali vincolanti e di un sistema di revoca centralizzato favorisce la persistenza di codice malevolo anche dopo le prime segnalazioni pubbliche.

Uso sicuro di OpenClaw e ruolo di Clawdex nella difesa

Per ridurre i rischi, gli analisti raccomandano di eseguire OpenClaw in ambienti isolati, come macchine virtuali o container senza accesso diretto al sistema operativo e ai wallet principali. Le skill dovrebbero essere sempre analizzate con scanner come Clawdex prima dell’installazione, verificando anche la reputazione degli autori. È essenziale limitare le chiavi API a permessi strettamente necessari, separare account di test e produzione e monitorare log di rete per individuare esfiltrazioni sospette. In contesti aziendali, l’uso di agenti AI andrebbe subordinato a policy di sicurezza formalizzate e a revisione del codice da parte di team specializzati.

FAQ

Cosa rende OpenClaw particolarmente rischioso per la sicurezza

OpenClaw è rischioso perché combina automazione completa, accesso a file e API sensibili e installazione di skill non verificate. Un’unica estensione malevola può trasformare l’agente in un infostealer persistente, difficilmente rilevabile dagli utenti non esperti.

Perché le skill di trading automatico sono un bersaglio dei criminali

Le skill di trading gestiscono chiavi API di exchange e wallet, con accesso diretto ai fondi. Gli attaccanti le usano come esca, promettendo buone performance per convincere gli utenti a concedere permessi estesi e installare tool aggiuntivi come AuthTool.

Come agisce NovaStealer su macOS tramite OpenClaw

La variante di NovaStealer distribuita tramite skill infette e AuthTool su macOS aggira Gatekeeper, esamina directory di wallet, browser e macOS Keychain, esfiltrando chiavi API, seed phrase, password e credenziali cloud verso server controllati dagli attaccanti.

Che ruolo ha ClawHub nella diffusione delle skill infette

ClawHub funge da repository centrale per le skill di OpenClaw, ma non applica controlli di sicurezza efficaci. Questo permette il caricamento e la circolazione di moduli contenenti infostealer, keylogger e backdoor, spesso camuffati da aggiornamenti legittimi.

Come usare in modo più sicuro OpenClaw e skill correlate

È consigliabile isolare OpenClaw in una macchina virtuale, limitare i permessi delle chiavi API, separare ambienti di test e produzione, analizzare sempre le skill con Clawdex, evitare di memorizzare seed phrase o wallet sullo stesso sistema e monitorare il traffico di rete.

Quali sono le principali fonti che hanno analizzato le skill infette

Le analisi più dettagliate sulle skill infette di OpenClaw provengono da ricercatori di OpenSource Malware e dagli esperti di sicurezza di Koi Security, che hanno documentato centinaia di estensioni compromesse e gli infostealer associati.